🥇Apache 2.4.49 מהדורת שרת http עם פגיעויות מתוקנות

פורסם מהדורת שרת HTTP של Apache 2.4.49, המציגה 27 שינויים ומתקן 5 פגיעויות:

CVE-2021-33193 - mod_http2 רגיש לגרסה חדשה של מתקפת "הברחת בקשת HTTP", המאפשרת, על ידי שליחת בקשות לקוח שתוכננו במיוחד, להשתלב בתוכן של בקשות ממשתמשים אחרים המועברים דרך mod_proxy (לדוגמה, אתה יכול להשיג את הכנסת קוד JavaScript זדוני להפעלה של משתמש אחר באתר).
CVE-2021-40438 היא פגיעות SSRF (Server Side Request Forgery) ב-mod_proxy, המאפשרת להפנות את הבקשה לשרת שנבחר על ידי התוקף על ידי שליחת בקשת Uri-path בעלת מבנה מיוחד.
CVE-2021-39275 - הצפת מאגר בפונקציה ap_escape_quotes. הפגיעות מסומנת כשפיר מכיוון שכל המודולים הסטנדרטיים אינם מעבירים נתונים חיצוניים לפונקציה זו. אבל תיאורטית ייתכן שיש מודולים של צד שלישי שדרכם ניתן לבצע תקיפה.
CVE-2021-36160 - קריאה מחוץ לתחום במודול mod_proxy_uwsgi הגורם לקריסה.
CVE-2021-34798 - הפניית מצביע NULL הגורמת לקריסת תהליך בעת עיבוד בקשות בעלות מבנה מיוחד.

השינויים הבולטים שאינם ביטחוניים הם:

לא מעט שינויים פנימיים ב-mod_ssl. ההגדרות "ssl_engine_set", "ssl_engine_disable" ו-"ssl_proxy_enable" הועברו מ-mod_ssl למילוי הראשי (הליבה). אפשר להשתמש במודולי SSL חלופיים כדי להגן על חיבורים באמצעות mod_proxy. נוספה את היכולת לרשום מפתחות פרטיים, שניתן להשתמש בהם ב-wireshark כדי לנתח תעבורה מוצפנת.
ב-mod_proxy, הניתוח של נתיבים של שקע יוניקס שהועברו לכתובת ה-proxy: הואץ.
הורחבו היכולות של מודול mod_md, המשמש לאוטומציה של קבלה ותחזוקה של אישורים באמצעות פרוטוקול ACME (Automatic Certificate Management Environment). מותר להקיף דומיינים במירכאות וסיפק תמיכה עבור tls-alpn-01 עבור שמות דומיין שאינם משויכים למארחים וירטואליים.
הוסיף את הפרמטר StrictHostCheck, האוסר לציין שמות מארחים לא מוגדרים בין ארגומנטי הרשימה "אפשר".

מהדורת שרת http של Apache 2.4.49 עם פגיעויות מתוקנות